有別於傳統(tǒng)IT場域起家的資安軟體系統(tǒng)商，近年來積極投入OT資安的業(yè)者無不尋求與工控自動化設(shè)備系統(tǒng)廠商帶頭聯(lián)防，同時也促使部份硬體設(shè)備廠商採取由下而上布局的策略，串連起產(chǎn)品全生命週期的資安生態(tài)系及防護網(wǎng)。

雖然現(xiàn)今各垂直產(chǎn)業(yè)工業(yè)控制系統(tǒng)所需的資訊安全佈局各有不同，卻也有共同的趨勢。根據(jù)TXOne Networks（?？鼐W(wǎng)安）調(diào)查全球505位資安長的結(jié)果指出，工控場域正面臨前3大資安挑戰(zhàn)依序為：

1.聯(lián)網(wǎng)設(shè)備激增，資安複雜度提升

隨著工業(yè)聯(lián)網(wǎng)設(shè)備激增，企業(yè)掌握自身資安現(xiàn)況的複雜度隨之提升。但資安人員往往受限於只能看見自己負(fù)責(zé)的項目，如機臺、網(wǎng)路、終端設(shè)備等。因此，企業(yè)應(yīng)在保持高度資訊安全的同時，思考如何兼顧營運效率，以穩(wěn)定地提升整體資安覆蓋率。

2.需量身定製的資安解決方案

在高度複雜的工控環(huán)境中，亟需針對工控環(huán)境特殊需求量身定製的資安解決方案，以應(yīng)對急遽變化的資安威脅型態(tài)。

3.老舊的系統(tǒng)不易納入資安守備範(fàn)圍

當(dāng)企業(yè)導(dǎo)入供應(yīng)鏈及第三方服務(wù)商所提供的軟硬體服務(wù)時，須將老舊的系統(tǒng)完整納入資安守備範(fàn)圍，藉此提升對資安態(tài)勢的掌握度，並且防堵攻擊破口。

針對臺灣的調(diào)查結(jié)果也與全球趨勢一致，然而臺灣受訪者針對可支用的資安經(jīng)費，則面臨相較其他地區(qū)的更大的壓力。

圖一 : 現(xiàn)今各垂直產(chǎn)業(yè)工業(yè)控制系統(tǒng)所需的資訊安全佈局各有不同，臺灣受訪者針對可支用的資安經(jīng)費，則面臨相較其他地區(qū)的更大的壓力。（攝影：陳念舜）

臺達(dá)由下而上延展　涵括產(chǎn)品全生命週期資安管理

因此，目前除了已有傳統(tǒng)IT場域的資安軟體、系統(tǒng)服務(wù)業(yè)者，趁勢積極向下扎根，布局OT資安場域應(yīng)用；同時也造就部份工控設(shè)備大廠由下而上延展，導(dǎo)入產(chǎn)品全生命週期資安應(yīng)用，更加提升成本效益。

例如臺達(dá)集團不僅近年來在電源領(lǐng)域成就廣為人知，也在2013年開始陸續(xù)從OEM/ODM基礎(chǔ)元件、模組供應(yīng)商轉(zhuǎn)型，提供更多產(chǎn)品與技術(shù)領(lǐng)域的IoT解決方案服務(wù)，聚焦於智慧物聯(lián)、節(jié)能永續(xù)、價值共創(chuàng)。進(jìn)而協(xié)助自家企業(yè)旗下8大事業(yè)群，包含工業(yè)/樓宇自動化AUB、資通訊/能源基礎(chǔ)設(shè)施暨工業(yè)解決方案IFB、視訊與顯像系統(tǒng)、電源及零組件PEB、交通運輸MOB等部門實現(xiàn)全方位數(shù)位轉(zhuǎn)型。

擴及全球的客戶與研發(fā)據(jù)點，率先覺察全球通用性需求?；督陙眈斂凸粼窖菰搅?，造成越來越大損失；且從2010年起世界各地紛紛加嚴(yán)資安法規(guī)管制，加上產(chǎn)品暴增性成長，各區(qū)域客戶反饋資安需求，讓臺達(dá)必須確保所有OT產(chǎn)品出廠前安全合規(guī)。進(jìn)而推出資安策略，並透過內(nèi)部資安委員會、臺達(dá)研究院，聚焦發(fā)展產(chǎn)品資安及防禦等下一代關(guān)鍵技術(shù)、測試工具，落實於提供OT連網(wǎng)產(chǎn)品安全防護。

臺達(dá)電子產(chǎn)品資安處長田維誠表示，臺達(dá)電自成立產(chǎn)品資安中心多年來，負(fù)責(zé)旗下事業(yè)群產(chǎn)品資安合規(guī)評測服務(wù)，並提供資安工具及防護技術(shù)，至今已協(xié)助包括工業(yè)自動化、儲能、ICT 基礎(chǔ)建設(shè)、半導(dǎo)體設(shè)備等領(lǐng)域的產(chǎn)品資安，逐步帶動上下游形成安全且具韌性的供應(yīng)鏈。

同時透過臺達(dá)研究院投入大量資源與學(xué)術(shù)機構(gòu)、法人合作，成功開發(fā)並實踐產(chǎn)品資安技術(shù)及服務(wù)於臺達(dá)產(chǎn)品。除了須符合IEC62443、SEMI E187等國際標(biāo)準(zhǔn)，至今共有超過百件產(chǎn)品通過檢驗之外；還會針對不同場域客戶的屬性及要求，與產(chǎn)品單位密切合作，從設(shè)計端開始推動資安服務(wù)合規(guī)解決方案。

田維誠也強調(diào)追求產(chǎn)品資安必須符合成本效益的重要性，尤其是如ODM/OEM中小企業(yè)客戶對於資安觀念的理解能力有限，必須耗費大量時間與成本輔導(dǎo)；無論是尋求內(nèi)部或外部合作夥伴，均須慎選能提供完整資安服務(wù)的供應(yīng)商。臺達(dá)也充份利用產(chǎn)業(yè)優(yōu)勢，提供由下而上，OT層（Device Network）至IT層（Operation Network/Enterprise Network）可輔助提升資安能力的解決方案。

進(jìn)而偕同生態(tài)系發(fā)展，包含：產(chǎn)品資安合規(guī)評測服務(wù)、管理輔助工具（DAFA）、強化方案（DAWL/RADAR）等，導(dǎo)入產(chǎn)品全生命週期應(yīng)用。即從產(chǎn)品開發(fā)的設(shè)計流程，就已導(dǎo)入資安防護與評測服務(wù)，在出廠前提供不同等級測試服務(wù)，確保能讓臺達(dá)和客戶產(chǎn)品內(nèi)運行的軟硬體安全，在出廠前彌補所有資安漏洞；出廠後能抵禦駭客攻擊，待進(jìn)入不同場域後若發(fā)現(xiàn)操作問題，能即時回報並修復(fù)，逐步建立完整的產(chǎn)品資安防護網(wǎng)。經(jīng)由RADAR防治勒索備份解決方案，打造無痛備份，快速還原、抗勒索的關(guān)鍵防線。

另有臺達(dá)推出的「主動式漏洞管理平臺」（Cyber Physical System Security Service Cente；CPS3C）則是專業(yè)的資安評測服務(wù)團隊，從臺達(dá)集團經(jīng)驗及國際客戶需求出發(fā)，致力於提升整體產(chǎn)品水平，從設(shè)計、開發(fā)、測試到維運階段，能滿足產(chǎn)品各類資安評測服務(wù)（滲透測試、模糊測試、弱點掃描、威脅建模及風(fēng)險分析）、合規(guī)輔導(dǎo)、主動式漏洞管理平臺及顧問服務(wù)。

其中如「DAFA（Delta Automated Firmware Analysis）」自動化分析技術(shù)，係基於臺達(dá)多年內(nèi)部產(chǎn)品安全測試所累積經(jīng)驗，配備了多項自動化資安測項，可用來協(xié)助產(chǎn)品製造商或第三方透過這些資訊偵測軟體元件（SBOM），並利用深度特徵擷取和機器學(xué)習(xí)技術(shù)，來準(zhǔn)確識別軟體元件正確版本與資訊；進(jìn)行自動化遞歸分析產(chǎn)品韌體中的所有內(nèi)容，以識別目標(biāo)產(chǎn)品中的韌體漏洞（弱點），確保符合國際資安法規(guī)/標(biāo)準(zhǔn)。

「DAWL（Delta Application Whtielisting）」產(chǎn)品安全保護套件，則是臺達(dá)針對產(chǎn)品資安所推出的端點防護解決方案，提供應(yīng)用程式白名單的防護功能，適用於無線路由器、無人機、自駕車、網(wǎng)路型攝影機等軟體更新頻率較低，用途單一且固定的設(shè)備上；重要基礎(chǔ)設(shè)施控制伺服器等更新頻率頻繁，但資訊安全要求極高的設(shè)備，可針對在OT場域運行的系統(tǒng)、裝置，驗證有效性和正確性，扮演迅捷管理、可靠機敏的資安守門員。

還不像傳統(tǒng)白名單常會發(fā)生中斷端點的運作問題，即使能提供比防毒軟體更好的防護，也往往不受使用者青睞。臺達(dá)針對此痛點設(shè)計並獲得了兩項專利，可以保障端點運作不受應(yīng)用白名單影響，分別著重於Windows設(shè)備架構(gòu)與網(wǎng)路連線的白名單系統(tǒng)、Linux硬體設(shè)備的嵌入式白名單系統(tǒng)。

圖二 : 目前除了已有傳統(tǒng)IT場域的資安軟體、系統(tǒng)服務(wù)業(yè)者，趁勢積極向下扎根；同時也造就部份工控設(shè)備大廠由下而上延展，導(dǎo)入產(chǎn)品全生命週期資安應(yīng)用，更加提升成本效益。

IEC 62443標(biāo)準(zhǔn)問世　全面影響資安軟硬體生態(tài)

值得一提的是，隨著雲(yún)端運算、AI 智慧化、遠(yuǎn)端運維等技術(shù)的蓬勃發(fā)展，工業(yè)物聯(lián)網(wǎng)（IIoT）的概念逐步在各大關(guān)鍵基礎(chǔ)設(shè)施中落地實施，不僅打破了傳統(tǒng)工業(yè)控制環(huán)境的局限，帶來前所未有的便利，同時也引入了不少資安風(fēng)險。如何在IIoT環(huán)境下打造一個既安全又可靠的工業(yè)控制系統(tǒng)，從雲(yún)端系統(tǒng)到端點設(shè)備的全面防護，成為了一個急需解決的課題，資產(chǎn)擁有者、服務(wù)提供商、系統(tǒng)整合商以及產(chǎn)品製造商在應(yīng)對工業(yè)物聯(lián)網(wǎng)資安風(fēng)險時的不同關(guān)鍵策略。

在數(shù)位化時代背景下，ISA/IEC 62443 標(biāo)準(zhǔn)，除了一般所認(rèn)知的工控產(chǎn)業(yè)，還在包含保障軌道交通、電力、石油產(chǎn)業(yè)、半導(dǎo)體及醫(yī)療等數(shù)位關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)路安全方面發(fā)揮關(guān)鍵作用。這項標(biāo)準(zhǔn)隨著歐洲新法規(guī)如 Radio Equipment Directive和Cybersecurity Resilience Act 的實施，對加強產(chǎn)品網(wǎng)路安全措施的重要性日益增強，將使產(chǎn)品製造商能更有效地實施這些標(biāo)準(zhǔn)，提升產(chǎn)品的安全性能。

國際資安驗證標(biāo)準(zhǔn)制定委員會（ISASecure）也根據(jù)風(fēng)險評估結(jié)果，結(jié)合 ISA/IEC 62443 標(biāo)準(zhǔn)，開發(fā)出適合IIoT 設(shè)備和閘道器的全球資安驗證標(biāo)準(zhǔn)。旨在全面提升業(yè)者在 AIoT領(lǐng)域的資安防護能力，重點不僅是軟體的安全，也包括硬體的保護措施。得以有效降低 IIoT 環(huán)境中的資安風(fēng)險，確保技術(shù)創(chuàng)新與資安防護能夠同步進(jìn)行，為未來的產(chǎn)業(yè)發(fā)展打下堅實的基礎(chǔ)。

全景軟體推廣機器身份管理　開啟物聯(lián)網(wǎng)資安新時代

圖三 : 全景軟體在IoT設(shè)備的整個生命週期中，提供多層次的安全保障。（source：全景軟體）

尤其是在現(xiàn)今AIoT應(yīng)用場域裡，機器身分管理的有效實施不僅是生產(chǎn)安全和效率的基石，也是應(yīng)對日益複雜的安全挑戰(zhàn)的必然要求，若能遵從相關(guān)標(biāo)準(zhǔn)，善用PKI（Public Key Infrastructure，公開金鑰基礎(chǔ)建設(shè)）和密碼學(xué)、影像辨識與管理技術(shù)，並將機器身分機制融入IEC 62443憑證管理規(guī)範(fàn)。

全景軟體公司物聯(lián)網(wǎng)發(fā)展部資深顧問邱志成表示，該公司成立26年來以來，專注於推廣資安身份認(rèn)證等領(lǐng)域，在IoT設(shè)備的整個生命週期中，提供多層次的安全保障。從設(shè)備設(shè)計開始，在物聯(lián)網(wǎng)設(shè)備建置硬體信任根，搭載安全功能以確保裝置身份認(rèn)證、完整性和安全連線；到了生產(chǎn)階段，IC燒錄包括金鑰保護、韌體簽章及設(shè)備認(rèn)證發(fā)放；以及維運、操作與報廢階段，要求設(shè)備連線認(rèn)證、安全通道、韌體OTA安全更新等層層把關(guān)，將有助於建立更為穩(wěn)固的安全基礎(chǔ)。

並在零信任連網(wǎng)時代也陸續(xù)融入IoV車聯(lián)網(wǎng)、AMI智慧電表、EVSE充電樁、工業(yè)自動化及控制、半導(dǎo)體應(yīng)用設(shè)備等不同場域的資安認(rèn)證標(biāo)準(zhǔn)。

邱志成指出，由於人與物的認(rèn)證機制有很多不同，前者可透過人為干預(yù)，證明為本人使用；後者則只能經(jīng)過密鑰和憑證連線，又必須要存在安全晶片處才有在零信任環(huán)境的可信任基礎(chǔ)。尤其是現(xiàn)在資安標(biāo)準(zhǔn)已成必備，並區(qū)分為Level 1~4不同等級成熟度，其中IEC62443標(biāo)準(zhǔn)的Level 2即要求須有PKI憑證、Level 3須有安全晶片，所以須將每個晶片皆視為主體之一，並分別應(yīng)用「身份驗證」和「授權(quán)」的概念，依序說明兩大關(guān)鍵要素：

1.機器憑證管理：包含憑證申請、撤銷、更新、查詢、下載、同步等功能，有效管理設(shè)備的合法性；

2.機器硬體信任根（root of trust，RoT安全晶片）：現(xiàn)已引進(jìn)英飛凌的安全晶片，包含OPTIGA TPM、OPTIGA Trust M。

藉此滿足物聯(lián)網(wǎng)安全全方位的獨特需求，不能僅仰賴軟體解決，安全晶片在IEC 62443重視強化身份驗證和數(shù)據(jù)保護標(biāo)準(zhǔn)下，確保只有受信任的應(yīng)用程式和機器能夠訪問系統(tǒng)，為工控系統(tǒng)提升可信賴性及整體安全性；並通過Common Criteria EAL6+認(rèn)證，確保硬體式安全性機制，敏感數(shù)據(jù)資料免受未授權(quán)存取，為系統(tǒng)提供全面性保護；具有獨立的微處理器和儲存區(qū)域，內(nèi)部安全儲存密鑰，加密/解密在晶片內(nèi)部執(zhí)行，極難被竊取。

目前還有ARM正推廣機器硬體信任根（MCU Trust Zone + PUF）技術(shù)，強調(diào)不必安全晶片也能獨立運算，可在任何時間、地點，實現(xiàn)安全信任根、存儲和系統(tǒng)。利用PUF（物理不可複製功能）技術(shù)，利用矽晶圓的原生特性，在生產(chǎn)過程中不同電氣特性造就的「天生密碼（晶片指紋）」，以演算法生成機器唯一身份識別碼的能力；或是以PUF中的TRNG為TrustZone提供高品質(zhì)的熵，以執(zhí)行各種安全功能。毋須額外整合安全晶片，或在不安全的軟體環(huán)境中生成金鑰，用於加密存儲機要資訊，但安全等級相對不如安全晶片，僅相當(dāng)於IEC62443的Level 2，還不如Level 3。